DSFA für KI-Systeme — DSGVO Artikel 35 + EU-KI-Verordnung
Wann KI-Systeme eine DSFA nach Artikel 35 der DSGVO benötigen, wie sie sich mit der FRIA nach Artikel 27 der EU-KI-Verordnung überschneidet, und wie man Doppelarbeit vermeidet.
Eine Datenschutz-Folgenabschätzung (DPIA) ist nach Artikel 35 DSGVO erforderlich, wenn ein KI-System systematische, umfangreiche Verarbeitung personenbezogener Daten umfasst, automatisiertes Profiling mit erheblichen Auswirkungen auf Einzelpersonen einsetzt oder besondere Kategorien von Daten verarbeitet. KI-Systeme können mehrere DPIA-Pflichten gleichzeitig auslösen. DPIAs müssen vor Beginn der Verarbeitung abgeschlossen sein, werden vom Datenschutzbeauftragten geprüft und müssen aktualisiert werden, wenn sich das System wesentlich ändert. Das Unterlassen einer erforderlichen DPIA zieht DSGVO-Geldbußen von bis zu 10 Mio. € oder 2 % des weltweiten Umsatzes nach sich.
Wann benötigt ein KI-System eine DPIA?
Artikel 35(3) DSGVO nennt drei automatische Auslöser. Die meisten Aufsichtsbehörden haben zudem Listen von Verarbeitungsarten veröffentlicht, die in ihrem Zuständigkeitsbereich stets eine DPIA erfordern.
Systematisches, umfangreiches Profiling oder automatisierte Entscheidungsfindung
KI-Systeme, die Einzelpersonen in großem Umfang profilieren oder automatisierte Entscheidungen mit erheblichen rechtlichen oder ähnlich erheblichen Auswirkungen treffen (Art. 35(3)(a)). Dazu gehören KI für Kreditscoring, Betrugserkennung, Bewerber-Screening und Algorithmen zur Versicherungspreisbildung.
Umfangreiche Verarbeitung besonderer Kategorien von Daten
KI-Systeme, die in großem Umfang Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung, rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, genetische Daten oder Gewerkschaftszugehörigkeit verarbeiten (Art. 35(3)(b) + Art. 9).
Systematische Überwachung öffentlich zugänglicher Bereiche
KI-Systeme, die Menschen in öffentlichen Räumen systematisch mit Video-, Audio- oder anderen Überwachungstechnologien in großem Umfang überwachen (Art. 35(3)(c)). Umfasst Smart-City-Monitoring, CCTV-Analytik und Verhaltensverfolgung.
DPIA vs. FRIA: Die Überschneidung verstehen
Wenn ein Hochrisiko-KI-System sowohl personenbezogene Daten verarbeitet (was eine DPIA auslöst) als auch von einer öffentlichen Stelle betrieben wird (was eine FRIA nach Art. 27 auslöst), stehen Organisationen vor zwei sich überschneidenden Bewertungspflichten. Die KI-Verordnung erlaubt ausdrücklich, diese Bewertungen zu kombinieren oder zu koordinieren, um Doppelarbeit zu reduzieren — rechtlich bleiben sie jedoch getrennt.
Eine DPIA konzentriert sich eng auf Risiken der Verarbeitung personenbezogener Daten. Eine FRIA deckt breitere Grundrechtsauswirkungen ab, einschließlich Nichtdiskriminierung, Würde, faires Verfahren und Zugang zu Diensten — viele davon sind keine Datenschutzrechte. Die Kombination der Bewertungen ist zulässig, aber die FRIA-Elemente müssen separat dokumentiert werden, um Art. 27 zu erfüllen.
DPIA (Art. 35 DSGVO)
- →Ausgelöst durch: Risiko der Verarbeitung personenbezogener Daten
- →Umfang: Datenschutzrechte
- →Verpflichtende Konsultation des Datenschutzbeauftragten
- →Kann vorherige Konsultation der Aufsichtsbehörde erfordern (Art. 36)
- →Gilt für alle Organisationen (öffentlich und privat)
FRIA (Art. 27 KI-Verordnung)
- →Ausgelöst durch: Hochrisiko-KI + Einsatz durch die öffentliche Hand
- →Umfang: alle Grundrechte der EU-Charta
- →Konsultation der Arbeitnehmervertretung empfohlen
- →Muss in der EU-Datenbank der KI-Verordnung registriert werden
- →Gilt nur für Betreiber der öffentlichen Hand / mit übertragenen Aufgaben
DPIA-Prozess für KI-Systeme in 6 Schritten
Verarbeitung und ihre Zwecke beschreiben
Dokumentieren Sie, welche personenbezogenen Daten verarbeitet werden, wie sie erhoben werden, Verarbeitungszweck und Rechtsgrundlage, Aufbewahrungsfristen und wer Zugriff hat. Bei KI-Systemen gehören dazu Modell-Ein- und -Ausgaben, Trainingsdatenquellen und Datenflüsse der Inferenz-Pipeline.
Notwendigkeit und Verhältnismäßigkeit prüfen
Weisen Sie nach, dass die Verarbeitung personenbezogener Daten für den Zweck des KI-Systems notwendig und verhältnismäßig ist. Berücksichtigen Sie Datenminimierung, Zweckbindung und ob weniger eingriffsintensive Alternativen existieren.
Datenschutzrisiken identifizieren und bewerten
Erfassen Sie Datenschutzrisiken: unrechtmäßige Offenlegung, unbefugter Zugriff, Modell-Inversionsangriffe, Re-Identifizierungsrisiko aus KI-Ausgaben, diskriminierendes Profiling und Zweckentfremdung. Bewerten Sie jedes Risiko nach Wahrscheinlichkeit und Schwere.
Technische und organisatorische Maßnahmen umsetzen
Dokumentieren Sie die Maßnahmen zur Minderung der identifizierten Risiken: Verschlüsselung, Zugriffskontrollen, Differential Privacy, Audit-Logging, Datenminimierung beim Training, Bereinigung von Modellausgaben und Verfahren zur Reaktion auf Datenpannen.
Datenschutzbeauftragten und Betroffene konsultieren
Artikel 35(2) verlangt die Konsultation des Datenschutzbeauftragten, sofern einer benannt wurde. Artikel 35(9) verlangt, gegebenenfalls den Standpunkt der betroffenen Personen oder ihrer Vertreter einzuholen. Dokumentieren Sie beide Konsultationen.
Restrisiken dokumentieren und Freigabe einholen
Halten Sie fest, welche Restrisiken nicht vollständig gemindert werden können und ob sie für den Verantwortlichen akzeptabel sind. Bleiben Restrisiken hoch, kann vor Beginn der Verarbeitung eine vorherige Konsultation der Aufsichtsbehörde (Art. 36) erforderlich sein.
Wie Scanara die DPIA-Compliance unterstützt
Erkennung von DPIA-Auslösern
Scanara meldet Merkmale von KI-Systemen, die DPIA-Pflichten nach Art. 35 DSGVO auslösen — biometrische Verarbeitung, Profiling in großem Umfang, automatisierte Entscheidungsfindung mit erheblichen Auswirkungen.
Datenfluss-Dokumentation
Scan-Ergebnisse identifizieren Datenverarbeitungsmuster in Ihrer KI-Codebasis — Modelleingaben, -ausgaben, Trainingsdaten-Pipelines — und liefern die faktische Grundlage für DPIA-Schritt 1.
FRIA/DPIA-Überschneidungshinweis
Werden sowohl eine DPIA als auch eine FRIA ausgelöst, identifiziert Scanara die Überschneidung und schlägt einen koordinierten Bewertungsplan vor, um beide Pflichten mit minimaler Doppelarbeit zu erfüllen.
Häufig gestellte Fragen
So hilft Scanara
Scanara automatisiert die EU AI Act Compliance vom Code bis zum Dossier. Verbinden Sie Ihre GitHub-Repos und erhalten Sie Compliance-Berichte in Minuten.